# 安全设计

## 安全边界

```text
Cloudflare Email Worker
        |
        | authenticated request
        v
       Node
        |
        | TLS + HMAC
        v
     Console
```

## Cloudflare OAuth

OAuth Token 加密存储，不进入前端和日志，也不作为 Node credential。

## Node Credential

由 Console 自动生成。用户不手工配置。支持撤销和重新 enrollment。

## 请求签名

所有 Node -> Console 请求必须签名，签名覆盖 method、path、timestamp、nonce、body hash，防止篡改和 replay。

## Worker -> Node

Worker 使用 Node 专用 ingress secret。Worker 不应拥有 Console credential。

## 最小权限

Cloudflare OAuth 只申请业务所需权限。

## 日志

禁止记录 Cloudflare OAuth token、Node secret、Webhook secret、Authorization header 和完整邮件正文。

## 附件限制

限制单文件大小、单邮件总大小、文件数量和 MIME header 大小，避免资源耗尽。

## 数据保留

默认 Email TTL 为 1 天，过期自动删除。